Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falla in Windows e l’antivirus non controlla gli script

Feb 20, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

Il bug coinvolgeva il sistema che sottopone a scansione alcuni comandi prima di eseguirli. Bastava un carattere nullo per aggirare il controllo.

Aggirare i controlli del software antivirus su un PC è il sogno di qualsiasi pirata informatico. Una possibilità di farlo, si scopre ora, esisteva grazie a una falla di Windows che avrebbe consentito di bypassare alcuni controlli che il sistema avvia attraverso un componente chiamato Anti-Malware Scan Interface (AMSI).

AMSI è stato introdotto con Windows 10 e ha il compito di “collaborare” con l’antivirus installato sul sistema (non solo Microsoft) inviando i file da analizzare. In particolare, il componente concentra la sua attenzione su elementi particolarmente a rischio, come PowerShell e VBScript.

Il problema, come spiega il ricercatore Satoshi Tanda, è che basta che lo script o il comando in questione abbia un carattere nullo all’inizio del codice e AMSI… lo ignora! La colpa è di AmsiScanString, un

Sul suo blog, Tanda mostra un esempio pratico di come sia possibile sfruttare il bug, mostrando le reazioni diverse di AMSI di fronte a un PowerShell che richiama Mimikatz, uno strumento di hacking piuttosto “standard”. La versione “normale” del PowerShell viene intercettata, controllata e bloccata.

Il codice viene individuato come pericoloso e bloccato. AMSI ha fatto il suo dovere.

Inserendo però un carattere nullo prima della porzione di codice che invoca Mimikatz, AMSI ignora completamente le istruzioni malevole e non esegue il controllo.

Nessun controllo, nessun blocco. L’attacco è andato a buon fine.

La vulnerabilità, grazie alla segnalazione del ricercatore, è stata corretta da Microsoft sostituendo il componente AmsiScanBuffer al posto di AmsiScanString all’interno di System.Management.Automation.dll. Le versioni aggiornate del sistema operativo, quindi, non cadono più nel tranello.

Condividi l'articolo